Les conclusions du rapport DBIR 2026 de Verizon qui devraient vous aider à adapter vos mesures de protection

Le rapport 2026 de Verizon sur les enquêtes relatives aux fuites de données a analysé plus de 22 000 fuites confirmées, ce qui constitue le plus grand ensemble de données de toute l'histoire de ce rapport. Ces conclusions constituent un bon test de réalité pour les responsables de la sécurité qui soupçonnent que la surface d'attaque s'étend plus rapidement que leurs mesures de contrôle. C'est vrai. Voici ce qui ressort, et ce que cela signifie concrètement pour les personnes, les données et l'IA dont dépend votre organisation.

Le facteur humain reste la variable déterminante

Le rapport DBIR a révélé que le facteur humain était en cause dans 62% de violations, ce qui représente une légère augmentation par rapport aux 60% de l'année précédente. Ce chiffre reste tenace précisément parce qu'il ne s'agit pas d'un problème ou d'un échec single. Il s'agit d'une combinaison de menaces, notamment la réutilisation des identifiants, la vulnérabilité au Phishing, les lacunes en matière de conformité et, désormais, les tentatives de tromperie assistées par l'IA, le tout regroupé en un seul indicateur.

Source : Rapport DBIR 2026 de Verizon, p. 12

L'ingénierie sociale constituait le troisième type d'incident le plus fréquent dans l'ensemble, représentant 16% de l'ensemble des violations de données. Parmi ceux-ci, le courrier électronique est resté le principal vecteur d'attaque, une constatation qui se vérifie depuis des années. Mais les détails qui se cachent derrière ce titre évoluent de manière significative.

L'IA ne remplace pas le phishing, mais le dynamise considérablement

Les acteurs malveillants ont eu recours à l'assistance de l'IA générative dans le cadre d'une médiane de 15 techniques distinctes au cours des campagnes d'attaques répertoriées. Certains l'ont utilisé sur pas moins de 40 à 50. Parmi les vecteurs d'accès initiaux assistés par l'IA identifiés par le DBIR, le Phishing représentait 44%, soit la single catégorie la plus importante.

Source : Rapport DBIR 2026 de Verizon, p. 26

Selon les données communiquées à Verizon par Anthropic, le volume de textes générés à l'aide de l'IA figurant dans les e-mails malveillants a doublé par rapport aux années précédentes. Le DBIR prend soin de souligner que cette augmentation du recours à l'IA ne s'est pas encore traduite par une hausse mesurable du taux de réussite des tentatives de Phishing visant les organisations figurant dans sa base de données d'incidents. Mais ce n'est pas un signe rassurant, c'est un indicateur retardé. L'amélioration est bien réelle : l'IA permet aux acteurs moins expérimentés de créer plus facilement des leurres convaincants, grammaticalement corrects et plausibles d'un point de vue contextuel. Les équipes de sécurité sont confrontées à un dilemme entre leur capacité de détection et le volume des menaces.

Les données relatives à la sécurité des e-mails montrent une répartition constante des messages bloqués : 80% tentatives de Phishing classiques, 10% e-mails contenant des malware, 5% tentatives d'attaques par rappel téléphonique (TOAD) et 3% attaques de type business email compromise (BEC) visant les virements bancaires ou le détournement de paiements. Ces conclusions concordent largement avec ce que nous avons rapporté dans le rapport « Mimecast Global Threat Intelligence Report ».

Le « pretexting » devient un moyen d'accès aux Ransomware

La plupart des équipes de sécurité ne prennent pas encore suffisamment au sérieux le « pretexting » : cette technique, qui consiste à inventer un scénario fictif pour amener une cible à commettre un acte préjudiciable, est devenue un vecteur d'accès initial de plus en plus fréquent dans les campagnes de ransomware et d'extorsion. Parmi l'ensemble des incidents étudiés, le « pretexting » a représenté 6% en tant que vecteur initial; il apparaît à la fois comme une technique autonome et comme une étape faisant suite à un e-mail de Phishing.

Ce qui rend le « pretexting » plus difficile à contrer que le phishing classique, c'est son caractère synchrone. L'agresseur participe à la conversation, que ce soit par voix, dans un fil de discussion ou lors d'un échange d'e-mails, et adapte son récit en temps réel. Les mesures de protection doivent être étendues afin d'inclure les signaux liés au comportement des utilisateurs, les schémas de communication anormaux, ainsi que la détection contextuelle des menaces, qui va au-delà de l'analyse des liens et des pièces jointes.

L'« IA fantôme » est désormais un risque majeur lié aux données d'initiés

Il s'agit là d'un élément d'information qui devrait donner lieu à une discussion urgente entre les services de sécurité, informatiques et opérationnels. 45% des salariés utilisent désormais régulièrement l'IA sur les appareils de l'entreprise, contre 15% l'année précédente. Parmi eux, 67% accèdent à des plateformes d'IA via des comptes non professionnels, exposant ainsi les données de l'entreprise à des systèmes échappant à tout contrôle informatique ou de sécurité.

Cette évolution se reflète dans les données télémétriques DLP : « Shadow AI » occupe désormais la troisième place parmi les actions internes non malveillantes les plus fréquemment détectées dans les ensembles de données DLP, ce qui représente une multiplication par quatre par rapport à l'année précédente. Le type de données le plus couramment transmis aux modèles d'IA externes est le code source — et ce, de loin. Des données structurées, des images et, dans 3,2 % des incidents liés à la fuite de données (DLP), des documents de recherche et de documentation technique sont également transférés vers des systèmes non autorisés.

Source : Rapport DBIR 2026 de Verizon, p. 13

Il ne s'agit pas d'un risque spéculatif. Il s'agit d'un risque mesurable et croissant dont la plupart des organisations ne se rendent pas compte à l'heure actuelle.

À quoi ressemblera une bonne défense en 2026 ?

Le message du DBIR n'est pas que le paysage des menaces a changé au point d'être méconnaissable, mais bien que des problèmes bien connus prennent de l'ampleur plus rapidement et que les personnes, qui se trouvent au cœur de la chaîne d'attaque, sont ciblées par davantage de canaux et à l'aide de techniques plus convaincantes.

La réponse concrète comporte plusieurs niveaux. Cela signifie une détection des menaces par e-mail qui suit le rythme de la création de leurres assistée par l'IA. Cela signifie étendre la sensibilisation au phishing et à l'ingénierie sociale au-delà de la boîte de réception. Cela désigne les signaux comportementaux permettant de détecter une compromission de compte ou un accès anormal avant que les identifiants ne constituent les seuls indicateurs. Cela signifie également que vous pouvez savoir quelles données sont transférées vers des plateformes d'IA, que ce transfert soit autorisé ou non.

La plateforme intégrée de Mimecast apporte des réponses concrètes à bon nombre de ces problèmes récurrents. La solution « Email & Collaboration Threat Protection » s'appuie sur la plateforme d'IA Mihra, qui traite plus de 18 milliards d'événements de sécurité par jour, afin de détecter les tentatives de Phishing, les attaques de type BEC et les messages contenant des malware, à mesure que les tactiques utilisées évoluent. La protection contre le piratage de compte met en évidence les indicateurs comportementaux des comptes compromis que les contrôles basés uniquement sur les identifiants ne détectent pas. La gestion des comportements en matière de sécurité prend en compte le facteur humain, que le rapport DBIR identifie systématiquement comme la variable dominante, en mettant en place des changements mesurables dans le comportement des collaborateurs plutôt que de se contenter de cocher des cases. De plus, les solutions d’Incydr en matière de gestion des risques internes et de protection des données, associées à la gouvernance et au contrôle des agents d’IA, offrent la visibilité sur les données que les conclusions du DBIR concernant l’« IA fantôme » rendent de plus en plus urgente.

Le rapport DBIR 2026 nous rappelle que les principes fondamentaux ne sont pas remis en cause ; ils sont simplement mis à l'épreuve à grande échelle, avec l'aide de l'IA, sur une surface d'attaque plus étendue. Les organisations les mieux placées pour réagir sont celles qui considèrent les personnes, les données et l'IA comme single surface de risque interconnectée, plutôt que comme trois problèmes distincts.

Découvrez comment Mimecast assure la sécurité des personnes, des données et de l'IA : réservez une démonstration ou consultez l'intégralité du rapport DBIR 2026 de Verizon sur verizon.com.

Sources :

• Rapport 2026 de Verizon sur les enquêtes relatives aux fuites de données (mai 2026) : verizon.com/business/resources/reports/dbir/